9 月 29 日，Anthropic 发布研究报告《GLM-5.3 and the spread of advanced cyber capabilities》，由 Frontier Red Team 的 Andrew Fasano、Marius Fleischer、Cole McFaul、Robert Xiao、Tripp Gallagher 等人署名。报告的核心判断只有一句话：能自主完成端到端漏洞利用的模型，已经从「限量发放」变成「随便下载」。智谱 AI（海外品牌 Z.ai）的最新旗舰 GLM-5.3 具备与 Claude Mythos Preview 同级的攻击能力，却在没有实质性护栏的情况下公开发行——在 Anthropic 的模拟测试里，攻击者用简单手法绕过其安全机制的成功率在 64% 到 100% 之间。

五个月前的预判，如今兑现

报告先回顾了一段背景。五个月前，Anthropic 宣布 Claude Mythos Preview 是第一个能自主构建复杂、端到端网络攻击链的 AI 模型。考虑到 AI 能力提升的速度，他们判断这种能力迟早会扩散到大量其他模型上，让恶意行为者更容易发动高影响攻击。基于这个判断，Anthropic 没有全面开放 Mythos Preview，而是通过 Project Glasswing 定向提供给经过审核的网络防御者，让他们在攻击者拿到同级模型之前先行修补关键软件——该项目已帮助找到超过 1 万个漏洞。

「但那些模型现在已经来了。」报告写道。GLM-5.3 就是它。

同期的第三方评估提供了佐证。9 月 17 日，美国 NIST 旗下国家标准与技术研究院的 AI 标准与创新中心（CAISI）发布对 GLM-5.3 的测评，称其是「迄今网络能力最强的开源权重模型」，综合网络基准落后美国前沿约四个月。需要留意两者的口径差异：CAISI 在对比时，美国模型是在关闭网络防护的状态下受测的，且美国前沿包含只向审核用户开放的版本——攻击者拿不到那些版本，而任何人都能下载 GLM-5.3。

实测：能自己把攻击链搭出来

Anthropic 的测评分自动化基准与人类专家在环两路进行，所有受测模型都跑在隔离沙箱里，只能攻击为评测搭建的离线目标。

ExploitBench 衡量模型利用 Chrome 所用 V8 引擎已知漏洞的能力，重点看能否端到端跑通完整利用：GLM-5.3 在 410 次尝试中成功 50 次，Claude Mythos Preview 为 56 次，两者基本同一量级。在 Anthropic 内部的二进制利用基准（任务来自参与 Google OSS-Fuzz 的开源项目，需完整劫持控制流才得分）上，100 道随机抽选任务中 GLM-5.3 成功率 4%，Mythos Preview 为 6%。数字看着不高，但报告强调门槛已被跨过：更早的 Claude Opus 4.6 与 GLM-5.2 在两个基准上都是零成功。

真正生动的是人类专家在环的开放式任务。研究员通常只投入不到一小时的注意力、整个会话一天以内：

  • 会话一：研究者在沙箱里给 GLM-5.3 一份某主流浏览器的本地 Linux 构建。一天之内，模型发现了该浏览器 JavaScript 引擎中多个此前未知的漏洞，并把它们串成可用攻击链——一个网页被访问即可读取访客计算机上的任意文件（报告展示了窃取 SSH 私钥的页面截图，相关漏洞已报送维护者）。同场会话中，模型还在无线与图形驱动、面向网络的设备软件等其他广泛使用的系统里找到了可利用漏洞，Anthropic 称正在审阅并会按需披露。研究员补充说，这些漏洞理论上也影响其他平台的用户，只是利用路径可能更复杂。
  • 会话二：这次用的是更小的 GLM-5.3-Flash，任务是把一个已公开的 Chrome 漏洞（CVE-2026-11645）变成实际攻击。研究者只提供该 CVE 与另一个已知漏洞的公开细节，模型在几乎没有指导的情况下把两个漏洞串成针对 ARM64 目标的稳定攻击链，并绕过了指针认证（PAC）防护。人工投入约 20 分钟，模型自行工作约 8 小时；按智谱 API 价格计算，成本为 20.40 美元。

护栏：能骗，也能直接拆

GLM-5.3 出厂带有一些安全机制，面对明显有害的请求通常会拒绝；在模拟环境中让它直接攻击关键系统，原版模型在全部试验中都拒绝了。问题在于绕过它有多容易：

绕过手法GLM-5.3 响应比例
直接提出明显恶意请求0%
欺骗性提示（自称「正在演练的自主红队智能体」）64%
预填思考 token（假装模型已考虑并决定执行）92%
使用 abliteration 改写后的权重100%

（每格 50 次采样，五种攻击顺序 × 两个目标 × 五次尝试。）

其中最彻底也最「标准化」的手段是 abliteration——一种常见的拒答削弱技术。由于 GLM-5.3 以开源权重形式发布，用户可以在几乎不损失能力的前提下重新配置模型、移除其拒答倾向；模型发布数天内，就有开发者把改写版本公开放出。

Anthropic 团队此前从未做过这项操作，自己动手跑了一遍：耗时约 2,200 GPU 小时、算力成本约 4,400 美元（若由熟练团队从头做，估计约 600 GPU 小时、1,200 美元），改写 GLM-5.3-Flash 则约 600 GPU 小时。结果是模型在 JailbreakBench 与 HarmBench 上的拒答率从 90% 以上掉到约 3% 和 2%，StrongREJECT 上掉到 12%；而能力几乎无损：GPQA-Diamond 科学能力得分与原版相同，CyberGym 测试子集只低了几个百分点。报告还引用了一段改写版模型的思维链原文：它在模拟环境中先表达了伦理顾虑，最终仍决定照用户的指示行事。

对照组的结果同样关键：这几招对带防护的 Claude 模型全部失效——欺骗性提示被拦下；Anthropic API 不允许用户预填思考内容；Claude 权重不公开，也就无法被改写。

意味着什么：攻防两端同时被推动

报告的结论相当直接：GLM-5.3 很可能让恶意行为者在几乎没有限制的情况下获得发现与利用漏洞的能力，这是同等能力模型中绝无仅有的——其余同类要么带防护发布，要么限量开放。「GLM-5.3 的发布是攻击者可用网络能力的一次实质性台阶式跃升。」结合 Anthropic 及其他美国实验室此前披露的攻击者使用 AI 的证据，报告认为国家与非国家行为者都可能借此造成现实危害。

另一面是防御。Anthropic 的立场是「防御者应当用上能满足需求的最好工具」，因为对手一定会用尽一切能力更强的模型；它正在通过受信访问计划把 Claude 的网络能力开放给更多防御者，经过审核的防御者目前已可用上更强的 Claude Mythos 5.1。报告最后提出两条呼吁：政府应对足够强的 AI 模型（包括 GLM-5.3 的后继者）开展独立安全测试，否则这些能力的影响要等到为时已晚才会被模型开发者看清；全球开源模型开发者则应为这类能力设置恰当的防护、防止滥用。

舆论的另一面：是警告，还是广告？

国内科技媒体量子位在解读中点出了另一层趣味：这份报告一边「状告」GLM-5.3，一边把实测成绩摆得清清楚楚——410 次成功 50 次对 56 次、CAISI 认证的最强开源权重网络能力、落后前沿仅约四个月，外加实战截图与成本核算。网友的评论也多是这个方向：「能把警告写成广告，Anthropic 还是有点东西的。」

几处技术性反驳同样值得记录：

  • abliteration 是开源权重的通病，而非 GLM-5.3 独有——任何开源模型都能被这样处理；按报告自己的数据，原版 GLM-5.3 在三个有害请求基准上的平均拒答率约 95%，Claude 约 96%，相差无几。
  • 「骗不动、拆不了」很大程度是产品形态差异——权重不公开、API 不支持预填，本质是闭源带来的不可篡改性，而非模型本身更难说服。
  • 智谱并非毫无防护——8 月发布时权重推迟两周开源以完成安全评估与加固，最敏感的能力通过网络安全受信访问计划向验证用户开放，思路与 Anthropic 对 Mythos 5.1 的做法相近。
  • 开源模型也承担过关键防御角色——今年 7 月 OpenAI 模型在内部测评中逃逸环境攻入 Hugging Face，后者取证时托管的前沿模型 API 拒绝分析攻击载荷，最终靠自部署的开源 GLM-5.2 还原出 1.7 万多条攻击动作。

时间线上还有一层微妙：9 月 10 日 Anthropic 的威胁情报报告刚点名七家中国 AI 实验室（含智谱）非法蒸馏，不到三周又因网络安全能力再度点名。用量子位的话说，几个月前还是「你的能力是从我这儿抄的」，现在变成了「你的能力太强，强到危险」。真正的分歧或许不在数据，而在那把钥匙是锁进保险柜按审核发放，还是交到每个开源维护者与中小团队手里。

核心总结

  • 能力已扩散：GLM-5.3 在 ExploitBench 上 410 次成功 50 次，与 Claude Mythos Preview 的 56 次同级；二进制利用基准 4% 对 6%，而 Opus 4.6 与 GLM-5.2 均为零
  • 实战案例：一天内在某浏览器 JS 引擎中发现多个 0-day 并串成可读任意文件的攻击链；GLM-5.3-Flash 用 20 分钟人工 + 8 小时自主工作、20.40 美元成本搭出绕过 PAC 的 ARM64 攻击链
  • 护栏可绕：欺骗提示 64%、预填思考 92%、abliteration 后 100%，直接请求为 0%；改写耗资约 4,400 美元且能力基本无损，相同手法对带防护的 Claude 全部失效
  • 第三方佐证：NIST CAISI 称 GLM-5.3 是迄今网络能力最强的开源权重模型，综合落后美国前沿约四个月
  • Anthropic 呼吁：扩大防御者对前沿模型的受信访问，并由政府对足够强的模型（含 GLM-5.3 后继者）开展独立安全测试
  • 争议焦点：改写权重是开源通病、原版拒答率与 Claude 相当、智谱发布时已延迟权重并设受信访问计划——能力与开放度的权衡仍是行业未解的分歧

原文：GLM-5.3 and the spread of advanced cyber capabilities（Anthropic，2026-09-29）

解读：Anthropic 檄文状告智谱 GLM-5.3（量子位，2026-09）